Fundamentos y Aplicaciones de la Criptografía en la Seguridad Informática

¿Por qué cifrar?

Desde el principio de la historia del hombre surge la necesidad de garantizar la confidencialidad de la información. Por eso, se han desarrollado diversas técnicas de enmascaramiento u ocultación de la información, siendo en la actualidad uno de los principales objetivos que persigue la seguridad informática.

Las operadoras de telecomunicaciones pueden darnos confianza utilizando protocolos seguros; pero para las empresas no es suficiente y por eso aplican cifrado.

Criptografía

La palabra criptografía viene del griego cripto («ocultar») y graphos («escribir»). Se podría traducir como: cómo escribir mensajes ocultos.

La criptografía consiste en tomar el documento original y aplicarle un algoritmo cuyo resultado es un nuevo documento.

Para cifrar un documento, necesitamos, por lo tanto, el algoritmo y la clave.

Las claves son combinaciones de símbolos (letras, números, signos de puntuación, etc.). Por tanto, nuestra seguridad está expuesta a los ataques de fuerza bruta: probar todas las combinaciones posibles de símbolos. Para evitarlo, tomaremos estas medidas:

• Utilizar claves de gran longitud.
• Cambiar regularmente la clave.
• Utilizar todos los tipos de caracteres posibles.
• No utilizar palabras fácilmente identificables.
• Detectar intentos fallidos repetidos en un corto intervalo de tiempo.

Distintos métodos:

• El método del bastón
• El método de polibios
• El cifrador de César
• El cifrador de Vigenere

Criptografía Simétrica

Los algoritmos de criptografía simétrica utilizan la misma clave para los dos procesos: cifrar y descifrar. Son sencillos de utilizar y, en general, resultan bastante eficientes.

Desventajas:

• Intercambio de las claves
• Gestión de las claves almacenadas

Criptografía Asimétrica

Su algoritmo de cifrado utiliza dos claves matemáticamente relacionadas de manera que lo que cifras con una solo lo puedes descifrar con la otra.

La criptografía asimétrica resuelve los dos problemas de la clave simétrica:

• No necesitamos canales seguros para comunicar la clave que utilizaremos en el cifrado.
• No hay desbordamiento en el tratamiento de claves y canales.

Problemas de la criptografía simétrica y asimétrica:

• Son poco eficientes.
• Utilizar las claves privadas repetidamente es arriesgado porque algunos ataques criptográficos se basan en analizar paquetes cifrados.
• Hay que proteger la clave privada. Las claves privadas se guardan todas juntas en un fichero llamado keyring.
• Necesitamos una segunda medida de protección de la clave privada: la copia de seguridad del llavero. Por tanto, debemos incluirlo en la política de backup de la empresa, y confiamos en que, aunque alguien más tenga acceso al backup, la clave simétrica todavía protege el llavero.
• Hay que transportar la clave privada. En cifrado simétrico, si hemos enviado el fichero cifrado a otra máquina y queremos descifrarlo, basta con recordar la clave e introducirla. Pero en la clave privada esto es imposible.

Criptografía Híbrida

Criptografía asimétrica solo para el inicio de la sesión, cuando hay que generar un canal seguro donde acordar la clave simétrica aleatoria que se utilizará en esa conversación. Criptografía simétrica durante la transmisión.

Cifrar y Firmar (Resumen)

Son funciones que asocian a cada documento un número y que tienen la propiedad de que, conocido el valor numérico, no se puede obtener el documento.

Se conocen como funciones hash.

Deben cumplir dos requisitos:

• Debe ser muy difícil que dos documentos distintos tengan el mismo resumen.
• Debe ser muy difícil, por no decir imposible, crear un documento a partir del valor de su resumen.

Utiliza algoritmos matemáticos muy complejos. Algunos de estos algoritmos son MD5 y SHA.

Cifrar y Firmar

La firma digital viene a sustituir a la manuscrita en el mundo de la informática. Si firmamos un documento, le estamos dando:

• Veracidad.
• Seremos responsables de lo que en él se diga.

Descripción del mecanismo de firma electrónica:

• Se calcula un valor resumen del documento.
• Este valor resumen se cifra utilizando la clave privada de nuestra pareja de claves pública-privada.
• El resultado de este valor es el que se conoce como firma digital del documento.

Dos utilidades de la criptografía:

-Confidencialidad de la comunicación

-Autenticidad del emisor. El mecanismo de firma garantiza que el emisor es quien dice ser.

PKI. DNIe

La implantación de una PKI (Public Key Infrastructure, infraestructura de clave pública).

Ahora, en la comunicación segura entre cliente y servidor, aparecen nuevos interlocutores:

• La Autoridad de Certificación (CA), cuya misión es emitir certificados.
• La Autoridad de Registro (RA), responsable de asegurar que el solicitante del certificado es quien dice ser.
• La Autoridad de Validación (VA) es la responsable de comprobar la validez de los certificados digitales emitidos. En la práctica, suele coincidir con la CA.
• Los repositorios. Son almacenes de certificados.

Funcionamiento:

• Durante el inicio de la sesión, el servidor envía su clave pública al cliente para que cifre el diálogo que van a comenzar; pero el cliente, antes de utilizarla, necesita comprobar que el servidor es quien dice ser.
• El servidor lo ha supuesto y ha enviado, junto con su clave pública, la firma digital de esa clave. Esa firma digital ha sido realizada por una CA oficial utilizando la clave privada de esa CA.
• El cliente puede verificar la firma recibida utilizando la clave pública de la CA (en este punto puede necesitar conectar con la VA). Si la firma es correcta, la clave pública del servidor también lo es y podemos iniciar la sesión segura con toda confianza.

Para que funcione la autenticación de una clave pública mediante PKI, se necesitan dos pasos previos:

• El servidor ha conseguido que una CA le firme su clave pública.
• El cliente dispone de la clave pública de esa CA dentro de su llavero de claves asimétricas.

El chip permite conocer:

• Datos generales de la persona, los mismos que están impresos en la tarjeta.
• Datos biométricos de la persona, como su huella dactilar digitalizada.
• Claves de cifrado asimétrico. El DNIe incluye claves distintas para firmar y para cifrar, por los motivos que ya conocemos: utilizar mucho una clave la expone a análisis criptográficos. Si al final alguien consigue nuestra clave de cifrado, por lo menos que no pueda firmar contratos en nuestro nombre.